Quando un'azienda perde il controllo dei dati personali, il conto alla rovescia parte rapidamente. Ai sensi del GDPR britannico e dell'UE, le regole GDPR sulle violazioni dei dati entro 72 ore stabiliscono una scadenza precisa per informare le autorità di vigilanza su quanto accaduto. Anche per le persone i cui dati sono stati esposti queste regole contano, perché determinano cosa ti viene comunicato, quando lo vieni a sapere e cosa dovresti fare in seguito.

Questa guida spiega il processo in linguaggio semplice, dal punto di vista dell'azienda e dal tuo.

Quando parte il conto alla rovescia delle 72 ore

La finestra di 72 ore si basa su un'unica idea: la consapevolezza. Ai sensi dell'articolo 33 del GDPR, un titolare del trattamento deve notificare una violazione dei dati personali all'autorità di controllo competente entro 72 ore da quando ne viene a conoscenza. Nel Regno Unito tale autorità è l'Information Commissioner's Office (ICO). Nell'UE è l'autorità per la protezione dei dati dello Stato membro competente.

Due punti spesso generano confusione:

  • Il conto alla rovescia parte dalla consapevolezza, non dall'attacco. Una violazione può essersi verificata giorni o settimane prima. La scadenza decorre da quando l'organizzazione ha un ragionevole grado di certezza che i dati personali sono stati compromessi.
  • La scadenza non è una pausa per le indagini. Ci si aspetta che le organizzazioni agiscano rapidamente. Quando i dettagli completi non sono ancora disponibili, l'approccio abituale è segnalare ciò che è noto e fornire ulteriori informazioni per fasi.

Mancare la scadenza senza una giustificazione ragionevole può di per sé costituire una violazione dell'articolo 33, il che espone il titolare a provvedimenti esecutivi, secondo i commenti giuridici sulla norma.

Una nota pratica: le 72 ore includono fine settimana e giorni festivi. Le violazioni non aspettano l'orario d'ufficio, quindi un piano di risposta agli incidenti collaudato conta più delle buone intenzioni.

Cosa devono comunicare le aziende all'ICO e alle persone interessate

Notificare l'autorità di controllo e notificare gli individui sono due obblighi distinti con presupposti diversi.

Informare l'ICO. Una segnalazione è generalmente richiesta a meno che la violazione non sia improbabile che comporti un rischio per i diritti e le libertà delle persone. La notifica dovrebbe descrivere la natura della violazione, le categorie e i numeri approssimativi di persone e registrazioni interessate, le probabili conseguenze e le misure adottate o proposte per affrontarla. Dovrebbe inoltre includere i recapiti del referente per la protezione dei dati dell'organizzazione.

Informare gli individui. Quando una violazione è probabile che comporti un rischio elevato per le persone, l'organizzazione deve anche informare gli interessati senza indebito ritardo. Il messaggio dovrebbe essere scritto in linguaggio chiaro e spiegare cosa è successo, quali sono le probabili conseguenze e quali passi le persone possono intraprendere per proteggersi.

La soglia per contattare gli individui è più alta di quella per contattare l'autorità di controllo. Scansioni di passaporti rubate, cartelle cliniche o dettagli finanziari tendono a superarla ampiamente. Casi come la fuga di dati dei passaporti di LT Group ad opera del ransomware Deadlock mostrano come i documenti d'identità possano finire nelle mani dei criminali, che è esattamente il tipo di esposizione che indica un rischio elevato.

Ci si aspetta inoltre che le organizzazioni mantengano un registro interno di ogni violazione, comprese quelle che decidono di non segnalare, insieme alla relativa motivazione.

Cosa dovresti fare se i tuoi dati vengono esposti

Un avviso di violazione può sembrare astratto. Ecco una checklist concreta che puoi seguire lo stesso giorno.

  1. Cambia la password interessata e tutte quelle riutilizzate. Se la stessa password protegge altri account, cambia anche quelle. Usa una password univoca per ogni servizio, idealmente conservata in un gestore di password.
  2. Attiva l'autenticazione a più fattori. Preferisci un'app di autenticazione o una chiave hardware agli SMS, quando possibile.
  3. Leggi attentamente l'avviso. Annota quali tipi di dati sono stati coinvolti: recapiti, documenti d'identità, informazioni sanitarie o finanziarie. Questo ti indica quali rischi prioritizzare.
  4. Monitora i tuoi account. Controlla gli estratti conto bancari e delle carte e valuta un servizio di monitoraggio del credito se sono stati coinvolti dati finanziari o documenti d'identità.
  5. Diffida dei contatti inattesi. Email, SMS o chiamate che fanno riferimento alla violazione possono essere genuine, oppure truffe che la usano come esca.
  6. Presenta una richiesta di accesso. Ai sensi del GDPR britannico e dell'UE puoi chiedere a un'organizzazione quali dati personali detiene su di te e, in molti casi, come vengono utilizzati. Questo ti aiuta a capire la tua reale esposizione e crea una traccia documentale.
  7. Conosci la tua via per i reclami. Se ritieni che l'azienda abbia gestito male l'incidente, puoi segnalarlo all'ICO nel Regno Unito o alla tua autorità nazionale per la protezione dei dati nell'UE.

Perché i dati rubati alimentano le truffe successive

La violazione iniziale è spesso solo la prima fase. I dati rubati hanno valore di rivendita e di estorsione, e gli attaccanti li usano sempre più per fare pressione direttamente sugli individui.

La copertura dell'attacco ransomware ad AnMed e della truffa di estorsione ai pazienti mostra come funziona: i rapporti suggerivano che gli attaccanti potrebbero aver usato dati dei pazienti rubati per condurre tentativi di estorsione personalizzati contro le persone a cui appartenevano. I dettagli personali rendono una minaccia credibile, ed è per questo che questi messaggi possono essere così efficaci.

Le fughe di dati possono anche essere pubbliche. Nel caso di ShinyHunters che ha diffuso 8,8 TB di dati rubati di One Medical, i dati sono stati pubblicati dopo pressioni estorsive, il che significa che chiunque avrebbe potuto potenzialmente accedervi. Una volta che le informazioni sono fuori, possono essere usate per phishing, impersonificazione e frodi mirate molto tempo dopo che l'incidente originale è stato dimenticato.

Ecco perché la notifica tempestiva è importante. Prima le persone lo sanno, prima possono bloccare gli account e riconoscere una truffa per quello che è. Neanche le piccole organizzazioni sono esenti, come illustra il caso ransomware di Jaipur: il ransomware non fa distinzioni in base alle dimensioni dell'azienda, e un team senza personale dedicato alla sicurezza ha comunque bisogno di un piano di risposta.

Cosa significa per te

La legge ti dà una ragionevole aspettativa che un'azienda informi l'autorità di controllo entro 72 ore dal venire a conoscenza di una violazione e ti informi direttamente se il rischio per te è elevato. Non garantisce che i tuoi dati rimangano al sicuro e non può annullare una fuga di dati. È la tua risposta a limitare i danni.

Se gestisci un'azienda, considera le 72 ore come un vincolo di pianificazione: sappi chi decide se una violazione è segnalabile, chi contatta l'ICO e come raggiungeresti rapidamente i clienti interessati.

Punti chiave

  • Il periodo di 72 ore parte quando un'organizzazione viene a conoscenza di una violazione, non quando è iniziata.
  • L'ICO o l'autorità dell'UE devono essere informati a meno che il rischio per le persone non sia improbabile; gli individui devono essere informati quando il rischio è elevato.
  • Cambia le password, abilita l'autenticazione a più fattori e monitora i tuoi account non appena ricevi un avviso.
  • Tratta con cautela qualsiasi messaggio che menzioni una violazione, poiché i criminali riutilizzano i dati rubati per estorsione e phishing.
  • Usa il tuo diritto di richiedere i tuoi dati per vedere cosa detiene un'organizzazione.

Comprendere le regole GDPR sulle violazioni dei dati entro 72 ore ti aiuta a giudicare se un'azienda sta agendo correttamente, ma la tua migliore protezione è agire rapidamente tu stesso. Proteggi i tuoi account oggi, resta vigile per le truffe successive e leggi la copertura su AnMed e ShinyHunters sopra per vedere come i dati violati vengono effettivamente usati impropriamente nella pratica.